Newubunti schrieb:
[…] ein Frage habe ich noch - Abschnitt "Sicheres Design":
Ein Paketfilter kann den Schutz des Rechners hier nur dann verbessern, wenn man auf diese Dienste verzichtet. Dies ist aber besser zu erreichen, indem man diese Dienste erst gar nicht startet bzw. deren automatischen Start im Betriebssystem deaktiviert.
Da bin ich nicht ganz einverstanden mit.
Und warum bist Du damit nicht einverstanden? Im Kontext dieses Satzes werden die Dienste benannt, um die es hier (d.h. in diesem Satz) geht. Wie bitte sollen diese – unter der Voraussetzung, dass man sie benutzen möchte – durch ein Paketfilter besser zu schützen sein als ohne Paketfilter? Natürlich könnte man sie durch restriktive Filterregeln blockieren, aber das ist ja Unfug angesichts des Umstandes, dass man sie einfach deaktivieren kann, wenn man sie nicht benötigt. Und dies wird doch genau durch diese beiden Sätze ausgedrückt.
Oder was ist nun Deine angekündigte Frage?
Weiter unten unter "Wann ist ein Paketfilter doch sinnvoll?" steht es dann IMO dann richtig:
Richtig sinnvoll auf einem Einzelplatzrechner ist ein Paketfilter nur, wenn man nicht die Ports, sondern die Herkunft der Pakete einschränken will.
Und in diesem Kontext ist IMO ein Paketfilter auch im LAN immer sinnvoll
Nein, ein Paketfilter ist nicht immer (d.h. ohne Einschränkungen, ohne Voraussetzungen) sinnvoll. Er kann sogar selbst einen Angriffspunkt darstellen. Paketfilter sind immer auf die jeweilige konkrete Situation individuell zu konzipieren, dies ist die einzige generelle Aussage, welche über Paketfilter uneingeschränkt wahr ist.
bzw. kann er dort sinnvoll sein.
Ja, so etwas kann in manchen Situationen sinnvoll sein. Eine Standard-Installation eines Ubuntu-Desktops gehört nicht zu diesen Situationen. Wer seine Standard-Installation verändert, muss sich selbstverständlich selbst verantwortlich Gedanken über die Sicherheit seines Geräts machen. Ubuntu bietet dafür die Hilfsmittel.
Wie gesagt auch vor dem Hintergrund, dass ein LAN heute aus einem ganzen Zoo von Geräten bestehen kann. Dieser Aspekt fehlt aber IMO bei der Formulierung im Abschnitt "Sicheres Design".
Das ist Quatsch! Es geht in diesem Artikel nicht um LAN und schon gar nicht über den sicheren Aufbau eines solchen. Es geht um das "Sichere Design" eines Standard-Ubuntu-Desktops-Systems.
Wer sich selbst unkritisch ein unsicheres LAN bastelt, indem er all möglichen Geräte, die als Angreifer fungieren könnten, in sein LAN integriert, kann diesen Kardinalfehler überhaupt nicht mehr durch ein Paketfilter auf seinem Desktop beseitigen. "Personal Firewalls" setzen voraus, dass das Netzwerk, an dem sie direkt angeschlossen sind, selbst als sicher gelten darf. Diese Voraussetzung muss natürlich bereits über andere Maßnahmen realisiert sein.
Zum Abschnitt "Unsichtbar machen":
Dort steht noch der IMO fälschliche Satz:
Ein System, das keine Ports offen hat, wie ein Standard-Ubuntu-Desktop, hat keinen einzigen Grund, "unsichtbar" zu sein.
Was ist an diesem Satz falsch? Es geht im Kontext dieses Satzes um das sogenannte „Unsichtbar machen im Internet“. („im Internet“ könnte man der Überschrift noch hinzufügen, ist aber übertrieben, weil „Unsichtbar im (eigenen!) LAN“ völlig sinnlos ist.)
Eine Standard-Installation eines Ubuntu-Desktops hat keinen Port zum Internet offen, das ist nach wie vor richtig. Es gibt einige offene Ports für Multicast, das steht nun richtig im Artikel. Multicast funktioniert aber erst einmal nur im LAN und nicht über Router hinweg.
Ich weiß, dass Sinn des Artikels auch war/ist, eine Anlauf für Neulinge zu sein, die unbedingt eine Firewall installieren wollen, weil sie es bisher so gewohnt waren und ohne unter Umständen eigentlich richtig deren Funktionsweise zu kennen. Dennoch finde ich, dass der folgenden Absatz etwas "überspannt":
Das gilt natürlich nicht für echte Server. Wer sich Samba, ssh, apache, etc. auf dem Rechner installiert, der möchte im Allgemeinen den Zugriff von außen erlauben. Wer das nicht will (und bspw. den Apache-Webserver als Testumgebung für Webdesign nutzen möchte), der sollte die jeweiligen Konfigurationsmöglichkeiten nutzen, um die Server nur an die Loopback-Schnittstelle (127.0.0.1 bzw. ::1) zu binden. Das ist auch nicht schwieriger als eine "Firewall" zu installieren.
Und was bitte soll an diesem Hinweis an einen Desktop-Nutzer überspannt sein? Er wir nur darauf hingewiesen, dass die Verhältnisse bei Server eben anders sind als bei seinem Desktop. Wer seinen Desktop zum Server machen möchte, sollte dies klar sein: Er muss sich an anderer Stelle schlau machen. Eine "Personal Firewall" für Server ist Unfug. (Lies sorgfältig:! Der vorstehende Satz lautet nicht: „Eine Firewall für Server ist Unfug.“ )
Ja, gut das stimmt soweit, wenn man einen Dienst nur ausprobieren will und dabei wirklich gar keinen Zugriff von außen will. Aber gerade wenn man Dienste testet, kann es IMO z.B. schon sinnvoll sein auch an einer tatsächlichen Netzwerkschnittstelle von außen ohne Loopback zu testen. Dann will ich aber den Zugriff von außen auf eine oder wenige IPs beschränken. Z.B. Samba als Active Directory Server würde ich vor Aufnahme als Produktiv-System so testen wollen.
Ein "Active Directory Server" wäre also nach Deiner Meinung ein übliche Komponente für einen Desktop-Rechner?
Denke noch einmal nach!
Also insofern schießt die Formulierung IMO hier - wohlgemerkt nicht vollständig - aber doch etwas über das Ziel hinaus.
Ja, es ist immer richtiges Design zunächst die Konfigurationsmöglichkeiten des Dienstes zu nutzen, d.h. aber nicht, dass ein Paketfilter in Funktion der Beschränkung auf bestimmte IPs stets sinnloses Teufelszeug wäre und so kommt es bei der jetzigen Formulierung doch etwas herüber.
Der Tenor des Artikels ist „Ein "Personal Firewall" bei einem Standard-Ubuntu-Desktop ist überflüssig“. Der Artikel handeln nicht von Servern (abgesehen vom Hinweis, dass es bei diesen anders ist), er behandelt nicht Firewalls im Allgemeinen, er behandelt auch nicht Paketfilter im Allgemeinen und auch nicht die Realisierung solcher Paketfilter mit Linux.
Und ich halte den vorgefundenen, aber von mir nicht veränderten Tenor des Artikels für richtig.
Ich sehe auch nicht, dass sich der Artikel grundsätzlich gegen Firewalls oder gegen Paketfilter aussprechen würde. Das scheinst Du aber in den Artikel herein zu interpretieren.
Deshalb: Firewalls und Paketfilter sind grundsätzlich nützlich Werkzeuge, auch bei Ubuntu und werden deshalb auch an anderen Stellen im UbuntuUsers.de-Wiki behandelt und es spricht auch nichts gegen eine Verlinkung. Vorschläge?
